Der Chaos Computer Club warnt vor einer schweren Sicherheitslücke bei Solaranlagen des Herstellers Hoymiles. Angreifer können Wechselrichter offenbar per Funk manipulieren, abschalten oder dauerhaft zerstören. Nun reagiert der Hersteller auf die Vorwürfe.
Laut einer aktuellen Untersuchung des Chaos Computer Clubs (CCC) weisen zahlreiche Balkonkraftwerke und Dachsolaranlagen des Herstellers Hoymiles erhebliche IT-Sicherheitsmängel auf. Das Unternehmen, das in Europa einen Marktanteil von geschätzten 20 Prozent hält, nutzt ab Werk offenbar ungeschützte Steuerungsschlüssel. Dies führt dazu, dass die betroffenen Photovoltaik-Anlagen im Vorbeifahren mit einfachsten Mitteln fremdgesteuert werden können. Für einen erfolgreichen Angriff dürfte bereits ein kostengünstiges Funkmodul ausreichen, womit die Barriere für potenzielle Saboteure extrem niedrig ausfällt.
Akute Hardware-Gefahr durch unverschlüsselte Funksignale
Die Sicherheitsforscher betonen, dass akute Gefahr für die Hardware besteht. Unbefugte können die Anlagen nicht nur willkürlich abschalten, sondern durch das Aufspielen von Schadsoftware die Wechselrichter dauerhaft physisch unbrauchbar machen. Das primäre Einfallstor für diese Angriffe ist die Seriennummer der Geräte. Die Steuerung läuft werksseitig allein über diese Kennung. Über ein verstecktes und unverschlüsseltes Funk-Feature, den sogenannten „Rundruf“, verraten die Wechselrichter ihre Seriennummer automatisch an jedes kompatible Gerät in Funkreichweite.
Hoymiles verspricht Update bis Ende August
Inzwischen hat Hoymiles auf die Vorwürfe reagiert und bestätigt, dass lediglich Wechselrichter der HM-Serie betroffen sind, welche vor August 2023 hergestellt wurden. Das aktuelle Portfolio sei von der genannten Sicherheitslücke nicht betroffen. Hoymiles verspricht, bis Ende August ein Update bereitzustellen, mit dem die Sicherheitslücke behoben wird. Das Update beinhaltet demnach eine 128-CBC-Verschlüsselung, wobei das Update einer Cybersicherheitsprüfung gemäß RED EN 18031 unterzogen wird. Fraglich ist zudem, wie sich das Update auf die Nutzung mit OpenDTU auswirken wird.
Passwort-Schutz als minimale Hürde für Betreiber
Wer seine Solaranlage absichern möchte, sollte als Sofortmaßnahme über die originale DTU (Data Transfer Unit) unverzüglich ein starkes Passwort setzen. Dies stellt zumindest eine minimale Hürde dar, kann jedoch laut CCC das Einspielen einer manipulierten Fremdfirmware aktuell nicht verhindern.
Beitrag erstmals veröffentlicht am 09.07.2026
Mit * oder markierte Links sind „Affiliate-Links“. Mit dem Kauf über diesen Link erhalten wir eine Verkaufsprovision, ohne dass du mehr bezahlst.
Seit 2021 schreibt er News und Artikel für Allround-PC und beschäftigt sich bereits seit vielen Jahren mit verschiedenen Hardware-Komponenten. Bei APC ist er unter anderem Experte für Gehäuse, Luft- und Wasserkühlungen, bringt aber auch Expertise für CPUs und GPUs mit.
